Наточенная пила в кладовке: почему система внутреннего контроля окупается

Почему модели внутреннего контроля больше 30 лет, а большинство компаний всё ещё «на троечку». Разговор председателя комитетов по аудиту и внутреннего аудитора — плюс кейсы выпускников Controls Deep Dive

Павел Викторов · Независимый директор НАКД, АНД и NACD, директор практики внешних оценок качества внутреннего аудита, контролей и рисков, к.э.н., CIA, CPA

Вывод практика. Готовой модели внутреннего контроля больше 30 лет, регулятор прямо отсылает к ней, а статистика показывает, что вложения окупаются. Но большинство компаний всё ещё «на троечку». Главная причина — контроль поручают отдельной службе, а первая линия, владельцы процессов, в нём не участвует.

Содержание

1. COSO: пила, которая 30 лет лежит без дела
2. Около 75% компаний — на первых трёх уровнях зрелости из пяти
3. Сколько стоит отсутствие контроля: около 5% выручки
4. Охота на ведьм обходится дороже, чем кажется
5. Какие меры сокращают потери вдвое, а какие — на 2%
6. Кто выполняет внутренний контроль: вся компания
7. Роль совета директоров и комитета по аудиту
8. Что делать на практике: 8 шагов
9. Вместо заключения

По мотивам открытого вебинара Павла Викторова и Евгения Плаксенкова — председателя комитетов по аудиту частных компаний, профессора Московской школы управления СКОЛКОВО, в прошлом финансового и генерального директора.

COSO: пила, которая 30 лет лежит без дела

Первую версию модели внутреннего контроля COSO опубликовали в 1992 году. С тех пор её обновляли, но основа осталась прежней. На ней построены требования Минфина, ФНС (налоговый мониторинг) и Банка России, а также требования к внутреннему аудиту и комитетам по аудиту в публичных акционерных обществах.

Но инструментом так и не научились пользоваться. В сравнении Евгения Плаксенкова COSO — это хорошо наточенная пила, которая лежит в кладовке: работать ею можно было все эти годы, но она так и не пошла в дело.

Эту модель не придумали в кабинете. Конструкция самолёта написана кровью погибших, а конструкция СВК оплачена деньгами инвесторов — миллиардами долларов, потерянными на корпоративных скандалах.

Около 75% компаний — на первых трёх уровнях зрелости из пяти

Когда я спрашиваю об уровне зрелости внутреннего контроля в своих учебных группах, около трёх четвертей участников относят свои компании к первым трём уровням из пяти. Похожую картину на вебинаре приводили и по исследованию PwC того же года.

Ещё один показательный факт. Многие члены советов директоров и комитетов по аудиту честно признаются, что вообще не спрашивают менеджмент о состоянии системы внутреннего контроля.

У этого есть и хорошая сторона. Если рынок пока «на троечку», компетенция, которая переводит компанию в «отличники», нужна прямо сейчас. Методология давно описана по шагам, и первый заметный результат можно получить за квартал.

Сколько стоит отсутствие контроля: около 5% выручки

Во время вебинара мы спросили участников, сколько выручки, по их опыту, компании теряют из-за слабого внутреннего контроля. Большинство выбрало диапазон до 10%, заметная часть назвала 11–30%.

По данным Ассоциации сертифицированных специалистов по расследованию мошенничества (ACFE, отчёт Report to the Nations 2020), типичные потери организации от мошенничества — около 5% выручки в год. Коллективная экспертиза аудитории попала в ту же зону.

В российских условиях эта цифра, скорее всего, выше. Собственность у нас обычно сконцентрирована в одних руках, поэтому потеря выручки сразу бьёт по стоимости бизнеса конкретного владельца. А громкие истории вроде Enron, WorldCom и Wirecard показывают, что потери капитализации бывают в разы больше потерь выручки.

Охота на ведьм обходится дороже, чем кажется

Многие службы безопасности по-прежнему с азартом ловят кладовщика, который унёс со склада мелочь. Статистика ACFE (2020) показывает другие приоритеты:

• присвоение активов встречается чаще всего (86% случаев), но это самые «дешёвые» случаи: медианные потери около 100 тыс. долларов;
• коррупция обходится дороже: около 200 тыс. долларов на случай;
• искажение финансовой отчётности встречается реже всего (10% случаев), но обходится дороже всего: медианные потери около 950 тыс. долларов.

Практический вывод: главный эффект дают не поиск виноватых, а правильно выстроенные процессы, их корректное отражение в учёте и мониторинг в реальном времени. Сберечь миллион выгоднее, чем поймать вора на сто тысяч.

Какие меры сокращают потери вдвое, а какие — на 2%

ACFE сравнила медианные потери в организациях, где мера противодействия мошенничеству есть, и там, где её нет. Лидирует не то, чего ждёшь:

1. Кодекс делового поведения — минус 51% потерь. Речь не о документе на сайте, а о кодексе, который стал образом действий. Нужны программа внедрения, коммуникация с людьми и личный пример руководства.
2. Внутренний аудит — минус 50%. Столько же дают сертификация отчётности руководством и управленческий обзор.
3. Обучение сотрудников — минус 38%. Это не галочка, а способ изменить, как люди работают и взаимодействуют.

В самом конце списка — вознаграждение информаторам: минус 2%, то есть практически ничего. Система, построенная на доносах, работает слабо: тому, кто за них получает, выгодно, чтобы нарушения не исчезали.

Посчитать отдачу несложно. Допустим, потенциальные потери составляют 10%, а система контроля сокращает их вдвое. Тогда компания получает 5 процентных пунктов рентабельности. Для сравнения: рост на 1–2% обычно уже празднуют как большой успех.

Из практики. В дистрибьюторской компании с выручкой 10–15 млрд рублей служба внутреннего контроля и аудита из пяти человек обходилась в 10–16 млн рублей в год. Эффект от снижения просроченной дебиторки, сверхнормативных запасов и потерь оказался примерно в 20 раз больше. Деньги заработала не служба, а владельцы процессов, которые «залатали» свои процессы при её поддержке. Поэтому правильный вопрос к собственнику звучит так: сколько стоит ничего не делать?

Есть и аргумент, понятный любому финансовому директору: налоговый мониторинг. ФНС оценивает СВК участника мониторинга в баллах, и от зрелости контроля зависит, насколько глубоко налоговая погружается в первичные документы. Низкая зрелость здесь означает «добровольно раздеться перед налоговой».

Кто выполняет внутренний контроль: вся компания

Мы спросили и об этом. Сто с лишним профессионалов ответили однозначно: вся компания. На втором месте оказались руководители всех уровней, а служба внутреннего контроля — только на третьем.

Это точно отражает модель трёх линий. Банк России в рекомендациях 2020 года называет бизнес-подразделения владельцами рисков: именно они непосредственно выполняют контрольные процедуры.

• первая линия — владельцы процессов (продажи, закупки, производство). Они ставят цели, выявляют риски, встраивают контрольные процедуры и проводят самооценку;
• вторая линия — финансы, юристы, безопасность, контроль качества, риск-менеджмент. Они поддерживают первую линию и следят за ней;
• третья линия — независимый внутренний аудит.

Главная мысль вебинара в формулировке Евгения Плаксенкова: неуспешные компании тратят деньги на вторую и третью линию, но не вовлекают первую. Внутренний аудит покажет проблемы, но если владельцы процессов их «не купят», ничего не изменится. Пока не заработает первая линия, остальные будут крутиться вхолостую.

«Утопия — думать, что какой-то риск-менеджер управляет рисками в компании или внутренний контролёр настраивает контроли в процессах.»

— директор по внутреннему контролю и рискам крупной розничной сети, выпускник Controls Deep Dive

Вторая беда — размытая ответственность. Договор визируют десять человек, а реально читает его один, остальные ставят подпись вслед за ним. Это эффект Рингельмана: бревно несут многие, но тащит один, а остальные идут рядом. Модель трёх линий нужна, чтобы у каждого контроля был конкретный хозяин.

Удобно смотреть на это так: внутренний контроль — не отдельная надстройка, а часть управления. В любом определении менеджмента есть планирование, организация и контроль. Каждый руководитель ставит цели, выявляет риски, которые мешают их достичь, закрывает эти риски правилами и проверяет, что правила выполняются.

Из практики. «Я тут деньги зарабатываю, а ты меня отвлекаешь своими бумажками», — так бизнес отвечал на запросы внутреннего аудита в одной медицинской компании. Помогла простая мера: вместе с юристом обязанности по внутреннему контролю вписали в должностные инструкции. Человек открывает инструкцию, видит, что это его работа, и сроки начинают соблюдаться.

Роль совета директоров и комитета по аудиту

Самая частая ошибка — неправильное подчинение. Если внутренний аудит и контрольные функции полностью зависят от генерального директора (бюджет, зарплаты, отпуска), им очень легко «подкрутить гайки». Тогда система превращается в имитацию бурной деятельности: на бумаге есть всё, а в культуре компании нет ничего.

Поэтому:

• у внутреннего аудита должна быть прямая линия подчинения комитету по аудиту, то есть совету директоров;
• держателем бюджета на контрольные функции должен быть совет директоров;
• генеральный директор — такой же подконтрольный участник системы и отчитывается совету о состоянии внутреннего контроля. Рекомендации Банка России для публичных АО (письмо от 01.10.2020 № ИН-06-28/143) прямо относят рассмотрение отчётов исполнительных органов о функционировании системы управления рисками и внутреннего контроля к задачам совета директоров;
• совет утверждает принципы и критерии оценки системы, по ним потом объективно спрашивают с менеджмента;
• тех, кто участвует в оценке и приносит «недобрые вести», защищает совет директоров.

Что делать на практике: 8 шагов

1. Взять за основу проверенную модель, а не «уникальную систему, сделанную специально для вас». Как с автомобилем: берёте проверенную платформу, а своей она станет со временем. Строить при этом лучше своей командой. В одном нашем проекте консультанты оценили СВК над отчётностью в 15–20 млн рублей — только за описание, без внедрения. Около 80% работы компания сделала сама. Когда делают консультанты, все расслабляются. Когда делают сами, люди включают голову.
2. Регулярно проводить самооценку. Это первый шаг к «здоровому образу жизни» компании. Без неё на бумаге нарисуют что угодно.
3. Сопоставлять самооценку с независимым внутренним аудитом и внешней оценкой. Совет директоров сводит все три взгляда и на их основе утверждает программу улучшений.
4. Определить текущий уровень зрелости и следующий шаг. Переход «из клеточки в клеточку» и есть конкретный план для конкретной компании.
5. Расширять охват постепенно: сначала достоверность отчётности, затем операционные риски и комплаенс.
6. Опуститься на уровень процессов вместе с бизнесом. Рабочие группы с владельцами процессов разбирают, где возникают риски, и встраивают контрольные процедуры прямо в процесс. Когда люди ищут цепочки создания ценности и цепочки возникновения рисков, это превращается в квест и даёт быстрые видимые результаты.
7. Закрепить роли на бумаге. По каждому ключевому процессу должно быть понятно, кто владелец, кто следит за процессом и кто его проверяет. И помните: наличие регламента не равно наличию контроля, а наличие контроля не равно его выполнению. Идеально описанная процедура ничего не стоит, если её никто не выполняет.
8. Управлять по цифрам. Нужны дашборды, ключевые показатели, юнит-экономика и сравнение с конкурентами. Ехать можно и без приборной панели, но с ней меньше аварий и меньше расход топлива.

Время перехода сегодня считают уже не годами. Многое удаётся сделать за квартал или полгода.

Вместо заключения

Внутренний контроль — не бюрократия и не охота на ведьм. Это правильное питание и здоровый образ жизни для бизнеса. Инструменты давно готовы, регулятор прямо подсказывает, что ими можно пользоваться, а статистика показывает, что вложения окупаются. Осталось одно: сделать контроль частью работы каждого руководителя, а не обязанностью отдельного отдела.

А как у вас? Кто в вашей компании на деле отвечает за контроль — владельцы процессов или отдельная служба? И когда совет директоров последний раз спрашивал менеджмент о состоянии СВК?

Как выстроить систему внутреннего контроля своими силами, вместе с владельцами процессов, мы разбираем на программе Controls Deep Dive «СВК своими руками». Если хотите понять, на каком уровне зрелости сейчас ваша компания и с чего начать, запишитесь на диагностическую сессию.

По теме

• Цена бездействия — чему внутреннему аудиту стоит поучиться у комплаенса.
• Мастермайнд: автоматизация контролей — как переводить контрольные процедуры в системы.
• Оценка системы внутреннего контроля — как мы оцениваем зрелость СВК и с чего начинается работа.